跟踪谁安装或删除了程序或应用程序

如果您管理一个由多个人使用的系统，每个人都有各自的登录名，那么了解其中哪些用户安装了程序或应用程序可能会有所帮助。例如，某个用户可能已经下载并安装了引起问题的程序，并且您需要与实际进行安装的用户进行交谈。同样，您可能需要知道谁从系统中卸载了特定程序。

如果使用Windows内置的常规MSI安装程序安装或删除了该程序，则可以通过检查Windows维护的事件日志来查找所需的信息。继续并启动事件查看器；最简单的方法是使用Windows的搜索功能，查找没有引号的“事件查看器”。程序启动后（可能需要花一些时间才能加载），初始屏幕会打招呼。 （请参见图1。）

图1. Event Viewer的初始窗口。

在右窗格的顶部附近，单击“创建自定义视图”选项。

Windows将显示“创建自定义视图”对话框。过滤器选项卡应显示在对话框中。 （请参见图2。）

图2.过滤事件日志。

使用“事件源”下拉列表，（单击“按源”右侧的单选按钮以激活事件源），选择“ MsiInstaller”选项，然后单击“确定”按钮。 Windows将显示“将筛选器保存到自定义视图”对话框。 （请参见图3。）

图3.“将过滤器保存到自定义视图”对话框。

根据需要命名“定制”视图，然后选择保存“定制”视图的位置，然后单击“确定”。这指示事件查看器仅显示由安装程序生成的事件，这正是您单击“确定”按钮时发生的情况。

在作为结果的一组经过过滤的事件中，查找在确定安装或删除发生时记录的事件。当您发现看起来很有希望的产品时，可以选择它并在查看器中查看其详细信息。这些详细信息中包括发生安装或删除时处于活动状态的用户帐户的名称。

您应该注意，这种方法仅在系统用户仅使用自己的帐户的情况下才有效-换句话说，用户注销和登录时应像在系统上一样。如果每个人都共享一个通用登录名，那么事件日志中的用户信息将毫无价值。 （它会告诉您事件发生的时间，但是您没有指示谁执行了该事件。）

另外，如果安装或删除的程序未使用MsiInstaller或未使用事件日志的方法，那么您将无法按照以下步骤查找事件。

本技巧（13465）适用于Windows 7、8和10。